Wet- en regelgeving en rol gemeente op het gebied van digitale veiligheid

Rol van de gemeente

Om de (mogelijke) rol van de gemeente op het gebied van digitale veiligheid te duiden is het belangrijk om te kijken naar de juridische context, het nationale stelsel voor digitale veiligheid, verschillende beperkingen en de inzet van andere steden.

Juridische context: lokaal

Het ontbreekt voor digitale veiligheid op dit moment aan een uitgebreid juridisch kader voor de rol van gemeenten naar partijen in de stad. De gemeente Den Haag voldoet op dit moment weliswaar aan alle juridische verplichtingen die er voor digitale veiligheid gelden. Dat is in feite enkel de Baseline Informatie- beveiliging Overheid, die van toepassing is op de informatiebeveiliging van de eigen gemeentelijke organi- satie. Er bestaan voor gemeenten (nog) géén andere juridische verplichtingen of bindende afspraken die specifiek ingaan op de digitale veiligheid in de stad zelf. Dat maakt dat veel gemeenten zoekende zijn naar hun rol en verantwoordelijkheid op dit gebied. De inzet van gemeenten is op dit terrein daarom in hoge mate afhankelijk van de ambities en doelen die gemeenten zelf stellen.

Juridische context: nationaal

Er zijn op dit moment 2 wetten in Nederland die in algemene zin leidend zijn voor digitale veiligheid: de Algemene Verordening Gegevensbescherming (AVG) en de ‘Wet beveiliging netwerk- en informatie- systemen’ (Wbni). Beide zijn een afgeleide/implementatie van Europese regelgeving, respectievelijk de ‘General Data Protection Regulation’ (GDPR) en de ‘Directive on Security of Network and Information Systems’ (NIS Directive).

Algemene Verordening Gegevensbescherming

De AVG richt zich op correcte gegevensverwerking ter bescherming van privacy. Organisaties die hier niet aan voldoen kunnen hiervoor een flinke boete krijgen. Er geldt een meldplicht bij de Autoriteit Persoons- gegevens als organisaties erachter komen dat ze (mogelijk) in overtreding zijn. Hierdoor is de AVG een van de belangrijkste motivaties voor organisaties om te investeren in hun digitale veiligheid en zo overtredingen te voorkomen.

Wet beveiliging netwerk- en informatiesystemen

De Wbni richt zich op de digitale veiligheid van organisaties uit nationaal vitale processen en dicteert dat deze “passende technische en organisatorische maatregelen op het gebied van cybersecurity moeten nemen”. De wet geldt voor zogenoemde Aanbieders van Essentiële Diensten (AED’s) en digitale dienstver- leners. De Rijksoverheid bepaalt daarbij welke bedrijven op nationaal niveau essentieel zijn. AED’s bevinden zich in essentiële sectoren als energie, vervoer, bankwezen, infrastructuur voor de financiële markt, levering en distributie van drinkwater, en digitale infrastructuur. Onder digitale dienstverleners wordt verstaan online marktplaatsen, zoekmachines en clouddiensten. Deze laatstgenoemde organisaties kunnen zelf bepalen of zij onder Wbni willen vallen. Daarnaast regelt de wet de rol van het nationale Cyber Security Incident Response Team van het Nationaal Cyber Security Centrum (NCSC) en het delen van (vertrouwelijke) informatie over cyberrisico’s of incidenten. Dat betekent dat het NCSC ondersteuning biedt als er sprake is van een incident en ook actief dreigingsinformatie kan delen met AED’s en digitale dienstverleners. Voor andere organisaties heeft het NCSC die leverplicht niet, al staat het organisaties vrij om het NCSC om hulp te vragen. Dit betekent dat het merendeel van de organisaties op dit moment niet wordt ondersteund door het NCSC en ook geen dreigingsinformatie krijgt. Voor het MKB heeft de Rijksoverheid daarom het Digital Trust Center opgericht, dat zich richt op het stimuleren van regionale en sectorale samenwerkingen in het MKB en de ambitie heeft om ook dreigingsinformatie te delen. Er is op dit moment een wet ‘bevordering digitale weerbaarheid bedrijven’ in de maak, die het mogelijk moet maken dat de Rijksoverheid specifieke dreigingsinformatie kan gaan delen met organisaties die niet onder de Wbni vallen.